Gli attaccanti hanno modificato ripetutamente i file di configurazione sui server di aggiornamento di AOMEI, reindirizzando per brevi periodi gli utenti dell'applicazione di backup per Windows AOMEI Backupper verso malware. L'attacco alla catena di fornitura ha agito in brevi finestre temporali tra aprile e luglio, anche se il rapporto di Recorded Future News non specifica l'anno.
AOMEI, società di software registrata a Hong Kong, ha confermato via email alla testata la manomissione lato server. Il gruppo di minaccia è tracciato da Google con la sigla UNC7017, ma origine e motivazioni non sono ancora state accertate.
Chi ha usato Backupper durante le finestre di esposizione potrebbe dover sottoporre i propri endpoint a un'indagine approfondita. Aggiornare i server di AOMEI impedisce che la stessa via di distribuzione continui a funzionare, ma non rimuove il malware né le altre tracce lasciate sui computer già raggiunti attraverso di essa.
Gli attaccanti hanno abusato di un canale di pop-up non autenticato
Secondo quanto riportato da Recorded Future News, sulla base dei risultati di ManageEngine, gli attaccanti non hanno sfruttato una vulnerabilità di AOMEI Backupper in sé. Hanno invece manipolato il canale che l'applicazione usa per mostrare i pop-up promozionali.
Questo meccanismo non autenticava i propri file di configurazione. Durante periodi di manomissione che duravano solo pochi minuti, i file alterati istruivano il software a scaricare contenuti malevoli. Gli attaccanti ripristinavano poi le configurazioni legittime, riducendo la probabilità che controlli successivi sui server o scansioni automatiche dei file rilevassero le modifiche.
Google ha riferito che chiunque cercasse aggiornamenti durante una di quelle finestre riceveva la distribuzione malevola. Ciò non stabilisce che ogni dispositivo esposto sia stato infettato con successo, ma significa che la platea dei soggetti coinvolti potrebbe essere più ampia delle vittime già individuate.
ManageEngine ha avvisato AOMEI per la prima volta a giugno, dopo che il proprio software di sicurezza aveva rilevato attività sospette presso due clienti. Secondo ManageEngine, AOMEI aveva inizialmente attribuito il problema a intercettazioni e modifiche degli aggiornamenti in transito. Dopo quell'avviso, l'infrastruttura di aggiornamento sarebbe stata manipolata almeno altre due volte.
AOMEI ha svolto un'indagine e ha corretto quelle che ha descritto come potenziali vulnerabilità, ma in quella fase non ha individuato la causa principale. A luglio, le informazioni sui tempi fornite da ManageEngine hanno permesso all'azienda di confrontare i file e i log dei server, dove ha dichiarato di aver trovato tracce dell'intrusione. AOMEI ha quindi aggiornato il server e ha riferito di non aver trovato file malevoli dopo l'intervento.
Un pop-up invisibile ha esposto gli hash delle password di Windows
Google ha descritto un effetto distinto durante la finestra di manomissione del 20 luglio: un pop-up invisibile induceva i sistemi Windows interessati a inviare gli hash delle password a un server controllato dagli attaccanti.
Questa tecnica poteva esporre le credenziali anche se i controlli di sicurezza avessero impedito l'esecuzione del malware che l'accompagnava. Il possesso di hash delle password può creare ulteriori rischi per le organizzazioni, se le stesse credenziali restano utilizzabili altrove nei loro ambienti.
ManageEngine ha inoltre riferito che il malware distribuito smetteva di funzionare quando un sistema sembrava trovarsi in Cina, quando la sua posizione non poteva essere determinata o in presenza di alcuni prodotti di sicurezza. L'azienda ha avvertito che questa esclusione geografica non identifica la posizione dei gestori e potrebbe essere stata intenzionalmente usata per depistare gli investigatori.
Le vittime coprono diversi settori e Paesi
Google ha individuato organizzazioni colpite nei servizi IT, nelle telecomunicazioni e nell'istruzione superiore, in quasi una dozzina di Paesi, tra cui Stati Uniti, Australia, India e Brasile. Ha poi informato le vittime che aveva identificato.
Non è stato fornito un conteggio preciso delle organizzazioni o dei dispositivi coinvolti. La valutazione di Google, secondo cui la distribuzione avveniva ogni volta che un utente cercava aggiornamenti durante una finestra di manomissione, suggerisce che i casi noti potrebbero rappresentare solo una parte dell'esposizione.
Al momento del rapporto, AOMEI ha dichiarato di non aver ancora identificato né informato i clienti coinvolti. L'azienda ha detto di voler valutare gli utenti potenzialmente interessati e contattarli in modo proattivo.
AOMEI e i ricercatori non concordano sulla portata dell'incidente
AOMEI ha affermato che solo AOMEI Backupper ha mostrato anomalie e che il suo monitoraggio non ha rilevato attività anomale legate ad AnyViewer, il prodotto di desktop remoto dell'azienda. ManageEngine, invece, ha sostenuto che i risultati di Google documentano un targeting di AnyViewer. Le informazioni disponibili non risolvono questo contrasto.
Non c'è accordo nemmeno sul fatto che gli attaccanti abbiano definitivamente perso l'accesso. AOMEI ha riferito che Google e ManageEngine le avevano comunicato che il problema era stato risolto. ManageEngine ha dichiarato di non aver accertato in modo indipendente che UNC7017 non potesse più accedere all'infrastruttura di AOMEI.
Gli utenti di Backupper dovrebbero verificare l'intero periodo di esposizione
AOMEI ha rilasciato uno strumento gratuito di rilevamento e ha consigliato a chi ha usato Backupper durante le finestre di esposizione di aggiornare l'applicazione e di scansionare i propri sistemi. Le organizzazioni dovrebbero esaminare gli endpoint e le credenziali pertinenti nell'intero periodo da aprile a luglio, anziché limitare i controlli al giorno in cui il server è stato aggiornato.
Poiché l'attività del 20 luglio poteva trasmettere hash delle password di Windows senza dipendere dall'esecuzione riuscita del malware, una scansione antimalware senza rilievi potrebbe non coprire da sola tutte le conseguenze. I team di sicurezza dovrebbero includere la possibile esposizione delle credenziali nella propria risposta e adottare misure adeguate per gli account associati ai sistemi che hanno contattato l'infrastruttura di AOMEI nelle finestre documentate.
